Bezpečnost účtu v online kasinu: 2FA, silná hesla a ochrana před phishingem

Účet v online kasinu není jen další zákaznický účet — kombinuje tři vysoce citlivé prvky najednou. Za prvé, hotovostní zůstatek, který si útočník může vybrat. Za druhé, kopie dokladů z KYC ověření (občanský průkaz, doklad o adrese, v některých případech i doklad o příjmu). Za třetí, kompletní identifikační údaje (jméno, adresa, datum narození, telefon). Při prolomení účtu může útočník nejen vybrat peníze, ale i zneužít doklady ke krádeži identity, otevření dalších účtů a podvodům.

Tento článek rozebírá klíčová opatření, jak si účet zabezpečit před krádeží: silné heslo, správce hesel, dvoufaktorové ověření, passkeys, rozpoznávání phishingu a obranu před dalšími manipulačními technikami. To, jaké doklady kasino během KYC ověření shromažďuje, vysvětlujeme v samostatném článku — právě tato data dělají účet pro útočníky tak cenným.

Proč je bezpečnost kasinového účtu kritická

V porovnání s běžnými online službami má kasinový účet několik specifik, která z něj dělají atraktivní cíl pro útočníky:

• Hotovostní zůstatek. Útočník může přímo vybrat peníze (zejména pokud hráč nemá nastavené limity).
• KYC doklady. Kopie občanského průkazu a dokladu o adrese jsou na černém trhu velmi cenné — dají se použít k otevření dalších účtů, žádostem o úvěry a podvodům.
• Bankovní údaje. Při uložených platebních metodách (karty, IBAN) může útočník nasměrovat peníze na svůj účet.
• Soukromí hráče. Mnoho hráčů nechce, aby jejich rodina nebo zaměstnavatel věděli o hraní. Útočník může touto informací vydírat („zaplatíte, nebo pošleme doklady vaší rodině").
• Opožděné odhalení. Hráč si nemusí kompromitace všimnout hned — než útočník vybere peníze, může uplynout i 24 — 72 hodin, než si všimne nesrovnalostí.

Silné heslo a passphrase

Heslo je první obrana účtu. Podle aktuálních bezpečnostních doporučení (NIST SP 800-63B) rozhoduje o síle hesla zejména jeho délka a to, zda neuniklo při nějakém úniku dat — ne počet „divných" znaků. „Silné" heslo v roce 2026 má tyto vlastnosti:

• Alespoň 14 znaků. U 8 znaků dokáže útočník vyzkoušet všechny kombinace za hodiny; u 14 znaků by to trvalo prakticky staletí.
• Délka je důležitější než složitost. Kombinace velkých a malých písmen, čísel a speciálních znaků pomůže, ale podle aktuálních doporučení NIST už není povinná — při dostatečné délce není nutné heslo uměle „komplikovat".
• Žádná slovníková slova ani vzorce. „Heslo123!", „kasino2024" nebo „heslo+jméno" jsou slabé — útočníci je zkoušejí mezi prvními.
• Unikátní pro kasino. Nikdy nepoužívejte stejné heslo pro kasino a jiné služby.

Passphrase: lepší alternativa ke „komplikovanému" heslu

Klasické rady pro heslo („velká písmena, čísla, speciální znaky") vedou k frustrujícím a těžko zapamatovatelným heslům typu „K4s!n0#88P!". Praktičtější je passphrase — náhodná věta složená ze 4 — 5 nesouvisejících slov:

• Špatná passphrase: „mojeheslo123" (krátká, slovníková).
• Slabá passphrase: „miluju.kasino.2024" (předvídatelná, obsahuje téma služby).
• Dobrá passphrase: „leto.kytara.kotva.vlak.7" (4 nesouvisející slova + číslo).
• Velmi dobrá passphrase: „káva-zelená-měsíc-rybář-44!" (5 nesouvisejících slov + číslo + speciální znak).

Passphrase má obvykle 20 — 30 znaků, snadno se pamatuje (stačí mentální obraz „léto, kytara, kotva, vlak, sedmička") a je matematicky odolnější vůči útokům než kratší „komplikované" heslo.

Jak rychle lze heslo prolomit

Při úniku databáze se útočník nesnaží uhodnout heslo na webu kasina (tam ho po pár pokusech zablokují), ale láme ho lokálně na výkonném hardwaru. Délka a náhodnost hesla rozhodují o tom, zda to zvládne za sekundy, nebo to nemá smysl ani zkoušet:

Hodnoty jsou ilustrativní pro útok na uniklou databázi a každoročně klesají s rostoucím výkonem hardwaru. Závěr je však stabilní: na bezpečnosti hesla se nejvíce podílí jeho délka, ne počet „divných" znaků.

Správce hesel: nemusíte si pamatovat každé heslo

Nejpraktičtějším řešením je správce hesel (password manager) — program, který generuje a uchovává silná hesla za vás. Vy si pamatujete jen jedno hlavní heslo (master password) a správce si pamatuje všechna ostatní. Bonus: solidní správce rozezná falešnou doménu a heslo na ní automaticky nevyplní, což je tichá obrana proti phishingu.

Nejpoužívanější možnosti:

• Bitwarden (zdarma, open-source): dostupný na všech platformách (Windows, Mac, Linux, Android, iOS, prohlížeče). Bezplatná verze stačí pro většinu hráčů.
• 1Password (placené předplatné): řádově nižší stovky korun měsíčně, včetně integrací s prohlížečem a mobilem.
• KeePass (zdarma, offline): uchovává hesla lokálně v zašifrovaném souboru. Nejméně komfortní, ale nevyžaduje cloud.
• iCloud Klíčenka (zdarma, jen pro Apple): vestavěný správce hesel v iPhone, iPad a Mac.
• Google Správce hesel (zdarma): vestavěný v prohlížeči Chrome a v Androidu.

Pro kasinový účet doporučujeme Bitwarden nebo 1Password — jsou dostupné na všech platformách a používají silné šifrování typu end-to-end (výrobce k vašim heslům nemá přístup).

Únik hesla a credential stuffing

Nejčastěji se účty neztrácejí „prolomením" kasina, ale opakovaným použitím hesla. Při útoku credential stuffing berou útočníci dvojice e-mail + heslo z úniků jiných služeb (sociální sítě, e-shopy, fóra) a automaticky je zkoušejí na dalších webech včetně kasin. Pokud používáte stejné heslo na více místech, stačí jeden únik a útočník se přihlásí do vašeho kasinového účtu, aniž by cokoli „lámal".

• Ověřte si únik. Zda se vaše e-mailová adresa objevila v některém známém úniku dat, si zdarma zkontrolujete ve službě Have I Been Pwned (haveibeenpwned.com).
• Využijte upozornění správce hesel. Bitwarden, 1Password i vestavěná řešení v prohlížeči Chrome a v zařízeních Apple umí sama upozornit, když se některé z uložených hesel ocitne v úniku.
• Po úniku jednejte hned. Uniklé heslo okamžitě změňte všude, kde jste ho použili, nastavte si všude unikátní hesla a zapněte 2FA.

Dvoufaktorové ověření (2FA): druhá vrstva ochrany

2FA (two-factor authentication) je bezpečnostní vrstva, která vyžaduje druhou formu ověření kromě hesla. Princip: něco, co víte (heslo) + něco, co máte (telefon, klíč). I když útočník získá vaše heslo, bez druhého faktoru se nepřihlásí. Podle Microsoftu zapnuté 2FA blokuje přes 99,9 % automatizovaných útoků na účet — je to nejúčinnější jednotlivé opatření, které zvládnete za pár minut.

Typy 2FA v českých kasinech

SMS 2FA je v českých kasinech nejběžnější, ale technicky nejslabší. Při tzv. SIM swap útoku útočník přesvědčí mobilního operátora, aby přenesl vaše číslo na svou SIM kartu (často s pomocí ukradených osobních údajů), a kódy z SMS pak chodí jemu. Ochranou je nastavit si u operátora dodatečný PIN nebo heslo na změny SIM karty a upřednostnit aplikační 2FA nebo passkey, pokud je kasino nabízí.

Passkeys: přihlášení bez hesla

Passkey je moderní náhrada hesla postavená na standardu FIDO2/WebAuthn. Namísto hesla se přihlásíte otiskem prstu, obličejem nebo PINem zařízení, přičemž tajný klíč nikdy neopustí váš telefon či počítač. Díky tomu passkey nelze odchytit phishingem ani ukrást z uniklé databáze — je to dnes technicky nejbezpečnější způsob přihlášení. V českých kasinech zatím není běžný, ale stále více e-mailových a jiných služeb ho už podporuje. Pokud ho některá vaše služba nabízí, je to nejlepší volba.

Jak zapnout 2FA v českém kasinu

Postup je ve většině českých kasin podobný:

1. Přihlaste se do účtu.
2. V horním rohu otevřete ikonu uživatele / „Můj účet".
3. Vyberte „Bezpečnost", „Nastavení" nebo „Profil".
4. Najděte sekci „Dvoufaktorové ověření", „2FA" nebo „Ověření přihlášení".
5. Vyberte typ 2FA — pokud je na výběr, upřednostněte passkey nebo aplikaci před SMS.
6. U SMS: zadejte telefonní číslo a ověřte ho doručeným kódem.
7. U aplikace: naskenujte QR kód v Google Authenticator nebo Authy a zadejte 6místný kód.
8. Uložte si záložní kódy (recovery codes) na bezpečné místo offline — budete je potřebovat, pokud ztratíte přístup k druhému faktoru.

Zabezpečte svůj e-mail — je to hlavní klíč

Na e-mailovou adresu je navázán váš kasinový účet a přes ni lze spustit obnovu hesla. Pokud útočník ovládne vaši schránku, často mu stačí kliknout na „Zapomenuté heslo", přijmout obnovovací odkaz a převzít kasinový účet i bez znalosti původního hesla. Proto musí být e-mail zabezpečen minimálně tak dobře jako samotné kasino:

• Unikátní silné heslo jen pro e-mail. Nikdy ho nepoužívejte na kasino ani jinou službu.
• Zapnuté 2FA na e-mailu. Gmail, Outlook i Apple Mail ho podporují; ideálně passkey nebo aplikace, ne SMS.
• Kontrola přesměrování a filtrů. Útočníci si po prolomení schránky často nastaví tiché přeposílání kopií zpráv — čas od času zkontrolujte pravidla přesměrování a filtry.
• Aktuální údaje pro obnovu. Záložní e-mail a telefonní číslo pro obnovu držte aktuální a chráněné.

Phishing: jak rozpoznat podvodný e-mail

Phishing je nejčastější způsob, jak útočníci získávají hesla. Princip: pošlou vám e-mail vypadající jako od kasina, který vás přesměruje na falešnou stránku. Tam zadáte heslo a útočník ho zachytí.

6 příznaků phishing e-mailu

1. Pochybný odesílatel. Skutečné kasino posílá z oficiální domény operátora. Phishing často používá generické domény (gmail.com, yahoo.com) nebo velmi podobné, ale nesprávné domény (například „kasino-overeni-uctu.com" namísto oficiální domény vašeho operátora).
2. Generické oslovení. Skutečné kasino vás oslovuje jménem z účtu („Vážený pane Nováku"). Phishing často používá „Vážený zákazníku" nebo „Drahý hráči".
3. Urgence a strach. „Váš účet bude blokován do 24 hodin", „Podezřelá aktivita — okamžitě ověřit", „Zbývá 12 hodin na výběr bonusu". Skutečné kasino vám nedává nesmyslný časový tlak.
4. Odkaz, který vede jinam. Před kliknutím na jakýkoli odkaz na něj najeďte myší (bez kliknutí) a v levém dolním rohu prohlížeče si prohlédněte, kam reálně vede.
5. Gramatické chyby a divné formulace. Česká kasina mají profesionální komunikaci. Phishing často obsahuje chyby, špatnou diakritiku nebo „strojový" překlad.
6. Žádá heslo, PIN nebo kód. Skutečné kasino vás NIKDY nežádá o heslo, PIN ani kód z SMS přes e-mail.

Konkrétní příklady phishing e-mailů

Příklad 1: „Blokovaný účet"

Proč je to podvod:

• Generické oslovení „Vážený zákazníku".
• Umělá urgence (12 hodin).
• Vyžaduje přihlášení přes odkaz v e-mailu.
• Hrozí trvalou blokací.

Příklad 2: „Vyhráli jste bonus"

Proč je to podvod:

• Příliš dobré na to, aby to byla pravda — kasino neposílá 2 500 Kč volných peněz náhodně.
• „Drahý hráči" namísto jména.
• Vyžaduje přihlášení přes externí odkaz.
• Časový tlak (24 hodin).

Příklad 3: „Ověření pro KYC"

Proč je to podvod:

• Žádá nahrát doklady přes externí odkaz.
• Skutečné kasino žádá KYC aktualizaci ve své aplikaci, ne přes e-mail.
• Strašení nemožností výběru.

Social engineering: telefonáty a jiné triky

Phishing je jen jeden typ útoku. Útočníci používají i další formy manipulace:

• Telefonát „od podpory kasina". Někdo se vám ozve, představí se jako pracovník kasina a požádá o ověření údajů, kód z SMS nebo heslo. Česká kasina NIKDY nevolají a nežádají heslo, kód z SMS ani PIN. Při pochybnostech zavěste a zavolejte zpět na oficiální číslo z webu kasina.
• Chat „od krupiéra" v live kasinu. Útočník se vydává za krupiéra a žádá si „bonus za sázku". Krupiéři nemají přístup k vašim údajům a nic si nežádají.
• Sociální sítě a „speciální bonus". Falešné účty kasina na Facebooku nebo Instagramu nabízejí „exkluzivní bonus" pro fanoušky. Skutečné kasino propaguje bonusy přes svou oficiální stránku.
• Falešné aplikace kasin. Aplikace napodobující skutečné kasino, které zachytávají hesla. Aplikaci stahujte vždy jen z oficiální stránky kasina (přes QR kód nebo odkaz z webu).

Bezpečnost zařízení a prohlížeče

I dokonalé heslo a 2FA jsou zbytečné, pokud má útočník přístup přímo k vašemu zařízení nebo prohlížeči:

• Malware a keyloggery. Škodlivý software dokáže odečíst hesla přímo při psaní nebo ukrást přihlašovací cookies. Mějte aktuální operační systém, prohlížeč i antivirus a neinstalujte software z neověřených zdrojů.
• Nehrajte z cizího nebo veřejného počítače. Na sdíleném PC (práce, knihovna, hotel) nikdy nezůstávejte přihlášeni a nepoužívejte „zapamatovat heslo".
• „Zůstat přihlášen" jen na vlastním zařízení. Funkce trvalého přihlášení ukládá relaci do zařízení; na cizím přístroji ji nikdy nezapínejte a po hraní se odhlaste.
• Kontrolujte aktivní relace. Některá kasina v nastavení zobrazují seznam zařízení a relací, kde jste přihlášeni. Pokud vidíte neznámé zařízení, odhlaste ho a změňte heslo.
• Zamykejte telefon a aplikaci. Mobilní aplikace kasina bývá trvale přihlášená — chraňte telefon PINem či biometrií a pokud to aplikace nabízí, zapněte její zámek. Více v článku mobilní aplikace kasin.

Je bezpečné přihlašovat se do kasina přes veřejnou WiFi?

Veřejná WiFi (kavárny, hotely, letiště) je rizikovější než vaše domácí síť. Ačkoli většina přihlášení dnes probíhá přes šifrované HTTPS spojení, na cizí síti hrozí například přesměrování na podvrženou stránku, proto je u citlivých účtů na místě opatrnost.

Praktická pravidla:

• Nepřihlašujte se do kasinového účtu z veřejné WiFi bez VPN.
• Používejte VPN (Virtual Private Network). VPN zašifruje vaše data tak, že je útočník ve stejné síti nepřečte — stačí libovolná renomovaná placená služba s jasnými zásadami o neshromažďování logů.
• Pozor na VPN a podmínky kasina. Některá česká kasina blokují VPN spojení kvůli kontrole původu hráče. Před použitím VPN si ověřte obchodní podmínky.
• Mobilní data jsou bezpečnější než veřejná WiFi. Pokud nemáte VPN, připojte se přes mobilní data (osobní hotspot).

Co dělat při kompromitaci účtu

Pokud jste klikli na phishing odkaz, zadali heslo na falešné stránce nebo si všimnete podezřelé aktivity:

1. Okamžitě změňte heslo na skutečné stránce kasina. Otevřete URL v prohlížeči ručně, přihlaste se a nastavte nové (silné, unikátní) heslo.
2. Zapněte 2FA, pokud ještě nebylo aktivní.
3. Zkontrolujte transakce posledních 24 — 72 hodin. Hledejte podezřelé vklady, výběry nebo změny v účtu.
4. Kontaktujte podporu kasina přes oficiální kanály. Telefon nebo chat z oficiální stránky, ne z e-mailu. Požádejte o dočasné zablokování účtu, dokud situaci nevyšetříte.
5. Pokud jste zadali i bankovní údaje, kontaktujte banku. Požádejte o blokaci karty a sledování transakcí.
6. Nahlaste phishing e-mail kasinu. Pošlete ho na jejich oficiální adresu pro nahlašování podvodů.
7. Změňte heslo i na jiných účtech, pokud používáte stejné. Při prolomení jednoho účtu útočník vyzkouší stejné heslo na dalších službách (e-mail, banka, sociální sítě).
8. Při závažném porušení (ukradené peníze, ukradené doklady) podejte trestní oznámení na policii. Krádež v online prostoru je trestný čin a je třeba ji řešit oficiálně.

Pokud vám kasino po incidentu preventivně zadrží výběr nebo dočasně zablokuje účet, co dělat a jaká jsou vaše práva rozebíráme v samostatném článku.

Bezpečnostní kontrolní seznam

Praktický kontrolní seznam pro váš kasinový účet:

Pro nastavení limitů přímo v účtu (denní, týdenní či měsíční limit vkladu a limit ztráty) se podívejte na článek sebeomezující limity v českých online kasinech.

Zdroje a další čtení

❓ Časté dotazy o bezpečnosti účtu